ECCV 2026 | 清华&智源团队实测：VLA模型的“安全对齐”远未完成！
安全和任务完成度天生就有矛盾，光靠堆安全样本治标不治本，运动规划和图文匹配得拆开单独优化
——物理碰撞安全 + 语义指令安全
目录
机器人真的安全吗？
现有的LIBERO、VLA-Arena这些评测基准，全在考“活能不能干完”，从来没把“安不安全”当成正经评分项。
最近清华、北航、上交等多校联合搞出了个LIBERO-Safety，算是业内第一套把「物理撞不撞人」和「听不听危险指令」放在一起考的完整评测体系。
不用人工吭哧吭哧录轨迹，靠自动化流水线批量产出近2万条零碰撞样本，5大类考题、3档难度一共75项测试，在10款主流模型跑了一遍。
01 现在的机器人评测，为什么测不出真安全？
在这套标准出来之前，所有机器人评测都有三个绕不开的硬伤：
数据全靠人工录，安全样本根本不够
老牌的RLBench、原版LIBERO，几乎全靠人拿着遥控器一点点录机器人动作，单条任务就要7分多钟。
而且录出来的轨迹安不安全，全看操作员水平，想批量产出“全程零碰撞”的标准样本几乎不可能。几乎所有场景都是固定的，桌子、杯子摆在哪全是模板，机器人练熟了这套环境，换个桌子布局直接疯狂撞东西。
▲VLA 安全挑战、数据生成流水线与跨范式评估总览
只测桌面避障，真实高危场景全不考
现有基准最多测测桌子上的静态盒子、瓶子，两个最容易出事的场景完全空白：
- 人机近距离协作：人伸手到工作台里、手里拿着东西来回晃，机器人会不会躲开？
- 指令安全：让它干危险的事，它会不会拒绝？
之前的SafeLIBERO只加了点基础物理约束，连语义测试都没有；VLA-Arena加了点动态物体，也没覆盖完整的人机交互。
说白了，安全评测缺了一大半。
难度不分档，测出来都是“虚假满分”
所有任务混在一起考，简单环境拿满分很容易，但只要物体歪一点、人手换个姿势，模型碰撞率直接翻倍。
一张表看懂新旧评测的差距：
▲主流 VLA 评测基准能力维度对比
简单说：以前的考试只考“干活能力”，LIBERO-Safety首次把“安全考试”完整加进来的标准化考卷。
02 这套新标准，到底厉害在哪？
整套框架从造场景、出考题、生数据到做评测全链路打通，每一块都是冲着落地痛点做的。
一套工具，一键生成上万种危险场景
传统仿真环境都是工程师手动搭的，改个布局就要重新写代码。LIBERO-Safety自研了一套UBDDL场景生成语言，相当于把环境全变成了可调节的参数：
▲UBDDL 驱动的多维度随机化综合仿真环境
- 画面上：纹理、光照、摄像头角度、模糊雾气随便换，防止机器人靠“背画面”蒙混过关；
- 物理上：能生成自己会动的瓶子、来回摆动的人手，还原真实人机协作的动态风险；
- 规则上：内置硬性红线，机器人一碰到人、碰到易碎品直接判失败。
▲统一行为域定义语言（UBDDL）代码示例
靠这套工具，团队直接生成了7603套不同场景、近千种物品，不用人工挨个搭环境，批量制造各种安全测试场景。
5类考题3档难度，现实风险全覆盖
整套评测拆成了5个赛道，每个赛道都分简单、中等、困难三档，一共75道题，从机械动作到指令理解全考到了：
▲五维三级分层安全任务分类体系
安全抓取：考会不会抓错易碎位置。简单档物品端正摆着，最难一档物品随便翻转倾斜，考验机器人能不能判断“抓哪不会弄坏东西”。
人机交互：工厂/家用最核心的考点。从静止的人手，到来回移动的手臂，再到换着说法下指令，看机器人会不会往人身上靠。
桌面避障：常规工作台躲障碍。从固定的盒子，到移动的障碍物，最后直接放从没见过的新物体，测零样本避障能力。
3D空间人手避让：独家赛道，市面上独一份。模拟人拿着东西在机器人操作空间里晃，测3D空间里绕开人的能力，是协作机器人的必过关卡。
语义安全：专门考“听话有没有底线”。第一层是直白的伤人指令，第二层是违背常识的操作（比如空锅干烧），第三层是藏在话里的陷阱，看着无害实则危险，专门测大模型的安全对齐能力。
这么分层最大的好处就是：有的机器人桌面避障满分，人一伸手就撞；有的机械动作稳得很，看到藏着陷阱的指令完全不拒绝，不止靠单一成功率。
不用人工录轨迹，批量生成零碰撞动作
之前人工录轨迹又慢又不准，这套流水线直接把老方法换掉了：
▲关键点驱动的无碰撞轨迹生成流水线
工程师只需要标几个关键点位：比如预抓取、抓住、放下这几个核心姿势，不用录完整的运动路径，单任务耗时从7.4分钟压缩到1.8分钟，效率翻了4倍。
系统会自动给每个关键点生成好几种位置变体，随机组合出成千上万套动作，再用运动规划工具强制约束全程不碰撞，最后简单人工筛查一遍，就能批量产出安全轨迹。
▲人工遥操作与关键点数据流水线定量对比
一套人工标注，能生成上百条不同布局的合规动作，完美解决了安全训练样本少的难题。
近2万条样本，严格杜绝“背考题”
团队一共产出了19664条纯安全轨迹，而且特意做了数据隔离：
训练集只放简单、中等难度的题，最难的陌生场景、整套语义考题，完全不放进训练数据里。
▲LIBERO 基准与本文数据集的末端执行器状态空间分布对比
这就保证评测是真·零样本考试，不存在模型提前“背过答案”刷高分的情况，测出来的安全能力才是真实水平。
03 10款主流模型实测，揭4个真相
团队对8款动作VLA、2款具身大模型做横向对比，得出的结论对做算法、做硬件的都很有参考意义：
▲参评模型架构分类与评测赛道总览
真相1：一到陌生环境，安全能力直接“跳水”
像OpenVLA这类基础模型，到了最难的陌生场景，很多赛道成功率直接归零；就算是表现最好的π0.5、GR00T系列，高难度场景成功率也直接腰斩。
▲实体物理安全赛道分难度成功率评估结果
说白了：现在所有机器人模型，只在实验室固定环境里能保证安全，放到家里、工厂这种杂乱的真实环境，碰撞风险会成倍涨，目前还没有能打全场的通用方案。
真相2：数据越多越安全，但有两个坎永远跨不过
训练轨迹加得越多，机器人碰撞概率确实会降，但有两个问题，光靠堆数据解决不了：
▲演示数据规模对任务性能与安全性的影响
- 路径太“怂”：全程不撞任何东西，但动作过于保守，反复绕路、停顿，最后超时或者卡到机械死角，任务还是完不成；
- 认错东西：路线规划得特别安全，但看错了目标物体，指令让拿黑碗，它伸手去抓旁边长得像的杯子。
▲次优轨迹合成导致的两类任务失败场景和指令对齐执行与语义错位执行效果对比
这也是论文最核心的结论：安全和任务完成度天生就有矛盾，光靠堆安全样本治标不治本，运动规划和图文匹配得拆开单独优化。
真相3：带推理、双系统的机器人，安全性明显更强
主流架构一比，差距很明显：
▲具身物理安全轨迹对比
- 基础单流VLA（比如OpenVLA）：安全垫底，只会复刻训练过的路线，遇到动态物体直接撞；
- 带世界模型的VLA：能预判接下来的状态，动态躲障碍比基础款好不少；
- GR00T这类双系统架构：高层理解语言，底层生成平滑动作，物理安全方面综合最强；
- 专用语义大模型：专门负责判断指令安不安全，不操控机械臂。
真相4：不会推理的大模型，看不懂隐藏的危险指令
专门测危险指令的赛道里，老牌模型面对直白的伤人指令，80%能拒绝，但遇到藏在话里的陷阱，拒绝率只剩20%；
而带链式推理的模型，能一步步预判操作后果，复杂场景识别能力强很多。
▲语义安全推理赛道分难度拒绝率评估结果
这也说明：只靠图文匹配远远不够，想杜绝安全事故，机器人必须得有基本的物理常识和推理能力。
04 客观说：它也不是万能标准答案
实话实说，这套基准是行业很大的突破，但也有明显的边界：
全是仿真测试，和真机有差距。仿真简化了摩擦力、机身震动、人类无规律的突发动作，仿真测出来碰撞率低，真机落地照样可能出问题。论文也配套了后置的安全滤波方案，但只能补救，没法从根源解决仿真和现实的差距。
只有正确样本，没有失败样本。训练集里全是安全轨迹，没有碰撞、失误的反面例子，机器人只能学“怎么做安全”，没法直观理解“什么事不能做”，极端风险预判能力有限。
人机场景偏简化。仿真里的人手动作都是固定规律的，现实中人会突然抬手、大幅度移动，真实风险比测试场景复杂得多。
只测静态指令，不测中途风险。目前只测一开始给的指令安不安全，没模拟操作中途突然出现的危险，比如机器人拿东西时人突然伸手。
05 对行业来说，它的实际价值
机器人厂商可以当出厂检测套件。75道标准化考题，直接拿来做安全验收，不用工程师人工反复测，能量化每款算法的碰撞概率；
算法团队可以定向调优。能精准分清是运动规划不行，还是图文对齐出了错，不用笼统地瞎优化整个模型；
做安全对齐的团队有了统一标尺。所有大模型都能用同一套语义陷阱比风险识别能力，不用各家自说自话；
小团队也能低成本做安全数据集。这套关键点流水线，能大幅减少人工录轨迹的成本，不用大团队也能攒出合规的安全训练数据。
长远来看，2026年通用机器人的竞争，早就不是“能不能完成任务”了，而是能不能安全地和人一起干活。
Ref
论文标题：LIBERO-Safety: A Comprehensive Benchmark for Physical and Semantic Safety in Vision-Language-Action Models
DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。
更多推荐
3
0- 0
已为社区贡献158条内容
所有评论(0)